工业控制系统网络应防范“内鬼”

来自内部的安全威胁可能比很多外部攻击更强烈，更有破坏力。对于管理着关键基础架构和制造过程的工业控制系统网络来说，尤其如此。一个不怀好意的雇员或是了解工厂并能够访问网络的前雇员就可以引起多种破坏，从而导致产品损坏、财务损失、设备破坏，甚至威胁人的生命。

例如，一个对某公司不满的作为系统管理员的前雇员使用其科学(未被撤销)登录进入了工业控制系统网络。然后安装了自己的软件，并且对工业控制系统进行了未授权的更改。这种蓄意破坏造成了大量的损失，也产生了大量的废品。在造成的损失被检测并逮捕此作恶者之前，这种破坏延续了长达两周时间。

工业控制系统网络更易遭受内部攻击

对于工业控制系统网络的漏洞而言，如下要点值得注意：

1. 对工业控制系统的远程访问很寻常

虽然对运营技术网络和设备的外部连接可以提升工作效率，却也产生了新的攻击面。远程访问往往是由工程师实施的，其目的是为了促进特定项目的进展，或是其它特定需要。然而，很多情况下，在项目结束后，却无人监视这种访问的使用。由此造成了对这些环境的恶意的和危险的访问。

有些企业曾经相信：只要将工业网络和IT网络及外部的互联网分离开，就可以高枕无忧，但如今，企业也不再相信那些过时的安全措施。今天，攻击和漏洞几乎无处不在，由此使得内部人员和外部攻击可以攻击工业控制系统网络。

2. 工业控制系统网络缺乏传统的IT安全控制和监视

由于缺乏这种控制，工业控制系统网络的管理员就无法强化访问、安全和对相关更改进行管理的策略。还有另一个问题：这些网络并没有可供获取的日志或踪迹，也就无法知道谁在什么时间访问了网络以及此人做了哪些更改。

因而，在发生事件并导致了运营中断时，企业会发现要决定攻击源几乎是不可能的。可视性的缺乏阻止了雇员进行快速响应，也带来了高昂的成本。

3. 无法洞察对过程控制器的更改

工业控制系统网络往往缺乏事件日志或审计线索，因而在对关键控制设备做出更改后，就无法提供信息。这种变更可能不仅是由雇员做出的，还可以由集成商或是在本地工作的第三方承包商做出。如果上述任何一方对这些系统做出了恶意的变更，要检测出来就非常困难，而且可能导致设备被关闭，直至问题得以解决。

这个盲点可以很轻易地就被一个别有用心的内部人员或前雇员所利用。

需要什么才能检测内部攻击?

1. 实时监视工业控制系统活动

企业需要对工业控制系统网络进行专门的监视和控制技术，从而为可疑或恶意活动提供深度的实时洞察，并采取预防性的行动以限制或阻止破坏。这种监视包括监视特定厂商的私有控制协议(可用来对工业控制器做出工程上的变更)。此外，对经由直接的物理访问对关键控制设备做出的更改进行捕捉也非常重要，因为这些设备无法通过网络实施监视。

2. 检测异常、恶意活动和未授权的访问

为确认异常通信和恶意活动，例如，恶意软件通过网络传播、对关键设备的非法变更、未经授权的控制工程活动等，企业需要精细的安全策略。

3. 检测经由可信的内部人员做出的未经授权的变更

除了检测异常，企业还应当能够跟踪对控制器的所有访问，并且为了确认人为错误和未授权的变更，还要查看所发生的全部变化。

正如对网络攻击一样，通过监视、观察、警告、审计等活动，企业可以在损害发生之前就检测并减轻内部人员威胁。